全米45司法長官がKOSA支持──年齢確認は義務化せず、デバイス側の実現性調査へ

今日の深掘りポイント

• 年齢確認を「義務化しない」方針を維持しつつ、デバイス側での年齢確認の技術実現性を連邦レベルで検討する動きが前進です。プラットフォーム責任は「未成年と知っている場合」に発動する設計が中核です。
• 規制の重心が「バイナリな年齢ゲート」から「未成年リスク運用（risk operations）」へシフトします。モデル・シグナル・プロセスの三位一体で継続的に管理する体制が要件化に近づきます。
• デバイス側（OS/ハード）依存は、プライバシー保護の好機である一方、バイパス・サプライチェーン・SDK依存といった新しい攻撃面を広げます。
• EU DSAや英国OSAとの整合は、グローバル運用の既定路線です。安全性/広告/データ最小化ガバナンスの「共通コア」を先に固めた組織が有利です。
• 信頼性の高い報道ながら、即時性・行動可能性は中程度。仕様の揺らぎを前提に、「最小収集×オンデバイス優先×検証可能な監査軌跡」を原則として先行実装するのが得策です。

はじめに

「年齢確認を義務化せずに、どうやって未成年を守るのか」。この問いに対して、KOSAの最新動向はひとつの現実解を示しつつあります。全米45の司法長官が法案支持を打ち出し、連邦レベルでのデバイス側年齢確認の実現性調査を求める声が強まりました。これは企業にとって、単なる法令対応ではなく、アルゴリズム設計・広告・データ最小化・ガバナンスにまたがる「安全性の設計原則」を基盤から見直す合図に見えます。
いま必要なのは、年齢推定の精度競争ではなく、「未成年リスクを組織的に低減する運用」への移行です。収集しない、残さない、そして見せない。そのうえで、説明可能で、検証可能で、世界の規制とつながり得る設計に踏み出すことが肝要です。

深掘り詳細

事実関係（報道ベース）

• 全米45人の司法長官がKOSA（Kids Online Safety Act）支持を表明。年齢確認を義務付けるものではないが、「デバイスレベルでの年齢確認」の技術的実現性を連邦機関が調査する方向性が示されたと報じられています。
• KOSAは、未成年者保護に関する全国的な基準を整備しつつ、各州の権限も尊重する枠組みで、プラットフォーム側には「未成年であることを知っている場合」の措置義務が課される設計が中核です。
• 報道の出所（Biometric Update）は、連邦の関与（商務省とFCC/FTCの関与を想定）や「デバイス側アプローチ」の検討を伝えています。
  参考: Biometric Updateの報道

※上記は報道に基づく要点整理です。正式条文やAG書簡の原本は本稿の参照外のため、最終判断には一次資料の確認を推奨します。

インサイト（編集部の視点）

• 「知っている（knowledge standard）」を前提とする措置義務は、「確定的な年齢確認」よりも「推定＋リスク低減運用」の設計に現実性が出ます。具体的には、ユーザー行動・デバイスシグナル・自己申告・ペアレンタルコントロール・決済年齢属性などをリスクベースで統合し、提示コンテンツ・機能・広告を安全側に倒す制御がコアになります。
• デバイス側の実現性調査は、プライバシーの観点で大きな意味を持ちます。年齢判定/属性トークンを端末内で完結させ、プラットフォームへは「最小限の属性フラグのみ」を渡すモデルは、過剰なPII/Biometric収集を回避しやすいです。一方で、OS/ハードの信頼境界・トークン偽造対策・端末共有（家族共用）など、新たなガバナンス課題が立ち上がります。
• グローバル整合（EU DSA、英国OSA）を考えると、企業は「年少者安全性リスクアセスメント」「既定での安全設定（safety-by-default）」「広告・レコメンドの制限」「監査可能性（ログと根拠）」の共通コアを先に内製化し、各法域の差分要件を外付けで吸収するパターンが合理的です。
• メトリクス全体像を踏まえると、信頼性は高く、即時性・行動可能性は中程度、ただし影響範囲は広いという読みになります。すなわち「今すぐ全社変革」ではないが、「変えやすいところから静かに積み上げる」フェーズに入ったと言えます。準備の差が半年後の実装速度の差になります。

実装の重心は「年齢推定」より「未成年リスク運用」へ

• データ最小化を前提に、年齢推定は「スコア化と不確実性管理」で扱い、閾値付近は安全側に倒す（ハーム高リスク機能のデフォルトOFF、ペアレンタル設定の誘導、広告パーソナライズ制限）。
• 説明可能性と監査可能性の担保が不可欠です。意思決定の根拠（どのシグナルがどう寄与したか）と設定変更の監査軌跡を残す設計が、後日の規制・監査・訴訟対応力になります。
• 「知り得た後」の対応SLO（たとえば数分〜数時間以内に保護設定を適用）と例外承認のRACIを定義し、可観測性（適用遅延、ロールバック率、誤判定率）をKPI化するのが運用の肝です。

デバイス側検証の技術とガバナンス（論点整理）

• オンデバイス処理優先：画像/音声等の生体は端末内で推定・即破棄し、サーバ側は属性フラグ/トークンのみ受領。
• 信頼の継承：OS/ハードの整合性計測（デバイス健全性）と属性トークンの耐偽造性（署名・期限・紐付け）をどう担保するか。
• 端末共有の扱い：家族共用端末でのプロファイル切替と誤適用の救済（アピール/再判定ループ）。
• ベンダーリスク：年齢推定SDK/検証事業者のサプライチェーン、ログ/学習データの越境、モデル更新の安全性（供給元とハッシュ検証）。
• 公平性と偏り：誤検知が特定集団に偏らないように、継続的なバイアス計測・是正の仕組み（説明可能性レポートと外部レビュー）。

脅威シナリオと影響

以下は仮説ベースの脅威シナリオです。MITRE ATT&CKのタクティクスに沿って観点を整理します。

• 攻撃者によるデバイス側年齢トークンの偽造（Defense Evasion, Credential Access）

  • 端末の脱獄/ルート化やフックでOS APIを偽装し、成人/未成年フラグをすり替え。サードパーティSDKの署名検証迂回や属性トークンの再利用・リプレイが狙われます。
  • 影響：保護設定回避、年少者への不適切レコメンド/広告配信、監査不備時の規制リスク。

• 年齢確認フローのソーシャルエンジニアリング（Initial Access, Privilege Escalation）

  • ペアレンタル制御の認証情報/ワンタイムコードを詐取し、設定を撤回・弱体化。サポート詐欺や偽アプリ配布が手口になり得ます。
  • 影響：親権者同意の形骸化、継続的な安全機能無効化。

• ベンダー/SDKサプライチェーンの改ざん（Persistence, Defense Evasion, Supply Chain Compromise）

  • 年齢推定SDKや端末側検証エージェントのアップデート配信経路を乗っ取り、属性トークン発行ロジックにバックドアを埋め込み。
  • 影響：広範な誤分類・保護機能停止、規模の大きいコンプライアンス・インシデント。

• データ過収集に伴う機微情報の流出（Collection, Exfiltration）

  • セルフィー/音声等を一時保存した実装が残存し、侵害時に未成年の機微情報が流出。ログ/学習データからの再識別が脅威となります。
  • 影響：重大な法的・レピュテーション損失、改善命令や賠償リスク。

• 機械学習モデルへの回避攻撃（Defense Evasion／参考: MITRE ATLASの観点）

  • 年齢推定モデルに対する対敵サンプルや属性なりすまし。特定のスタイル/フィルタで誤分類を恒常的に誘発。
  • 影響：高リスク機能の恒常的な抜け道、未成年保護の実効性低下。

これらのシナリオは、「年齢ゲート」それ自体が攻撃対象となることを示唆します。年齢・属性は守るための条件であると同時に、攻撃者にとって回避価値の高いターゲットになります。結果として、ゼロトラスト的に「検証を単一要素で完結させない」「属性の再確認と行動異常の相関監視」を組み合わせるアーキテクチャが現実的です。

セキュリティ担当者のアクション

• 共同責任体制の確立
  • CISO、CPO、プロダクト/広告責任者、レギュラトリーのRACIを明確化し、「未成年リスク運用（Youth Safety Ops）」の定常会合を設けます。
• データ最小化の原則をコード化
  • 未成年推定に用いるシグナルのデータカタログを作成し、収集・保持期間・利用目的をPbD（Privacy by Design）原則で定義。生体情報はオンデバイス優先・即破棄の方針を標準にします。
• デバイス側トラストの評価
  • 主要OSのデバイス健全性/アテステーションAPI、署名トークンのライフサイクル、端末共有時の誤適用救済フローを技術評価。属性トークンは期限・スコープ・再発行基準を厳格化します。
• ベンダー/SDKデューデリジェンス
  • 年齢推定/検証ベンダーに対し、サプライチェーンSBOM、モデル更新の署名・ロールバック、ログの局所化、データ削除SLAを契約要件化。監査権限と侵害時の通報SLOを明確化します。
• 検知と監査の可観測性
  • 「未成年疑義検知→安全設定適用→告知→アピール→再判定」の一連の状態遷移をイベント化し、遅延・失敗・ロールバックのKPIを継続監視します。
• 脅威モデリングとレッドチーム
  • MITRE ATT&CKタクティクスに沿って年齢検証フローを分解し、ルート化/フック/トークン偽造/サプライチェーン改ざん/ソーシャル工学を想定したレッドチーム演習を四半期で回します。
• 誤分類のガバナンス
  • 誤判定時の救済（アピール→迅速再判定→設定是正）をSLO化し、影響を最小化。特に誤って「成人扱い」となるケースを高優先で潰します。
• バイアス/公平性マネジメント
  • 年齢推定・行動シグナルのバイアス指標を定義し、集団間の誤判定格差をモニタリング。改善のA/Bテストは安全側制御を優先します。
• グローバル整合の設計
  • EU/UK/USの差分を「ポリシーレイヤ」で吸収しつつ、共通コア（リスクアセスメント、safety-by-default、広告制限、監査ログ）は統一実装に。法域ごとのデータ越境・保管要件はDPAで管理します。
• インシデント/規制対応準備
  • 未成年関連の重大インシデント想定プレイブック（規制当局報告、保護者通知、是正計画、検証レポート）を整備。年1回の机上演習を実施します。

参考情報

• Biometric Update: 45 Attorneys General back KOSA as age verification question remains open
  https://www.biometricupdate.com/202611/45-attorneys-general-back-kosa-as-age-verification-question-remains-open

編集後記：
「わかっている子ども」と「わかっていない大人」を分けるのは、技術ではなく運用と誠実さです。KOSAが最終的にどの形で落ち着くとしても、未成年リスクを減らす“設計と運用”に先回りで投資した組織だけが、規制の波を静かな追い風に変えられます。今、できるところから静かに、しかし確実に始めるときです。